Как выявить мошенника в эпоху генеративного ИИ
Почему адресный фишинг подешевел и насколько эффективны генеративные атаки
Фильтрация корпоративной почты и банковский антифрод годами опирались на то, что дешевая массовая рассылка легко вычисляется по однотипным фразам и незнанию внутренней работы компании, тогда как подготовка убедительного письма под конкретного человека требовала долгого ручного поиска сведений по открытым источникам и старым утечкам. В 2026 году группа Фреда Хайдинга и Брюса Шнайера проверила в Expert Systems with Applications, как эту картину изменили языковые модели. Если у специалиста на сбор сведений и текст одного письма уходило, в среднем, 34 минуты, то автоматический конвейер выполнял ту же работу без участия человека примерно за 4 цента по тарифам API, а в гибридном режиме ручная правка черновика занимала меньше 3 минут.
Полностью автоматическая рассылка в этом эксперименте дала ту же долю переходов по ссылкам, что и письма, составленные вручную экспертами по фишингу — по 54% в обоих случаях против 12% на шаблонном спаме контрольной группы, и 56% при финальной вычитке человеком. Переносить эти доли на любую компанию нельзя, потому что выборка включала всего 101 участника в 4 группах примерно по 25 человек, где 12% означают лишь 3 перехода. Однако само удешевление подтвердилось летом того же года в более крупной работе тех же авторов по голосовому фишингу. На выборке из 4100 человек речевые модели добивались согласия жертвы в среднем в 16,5% случаев при минимальной цене звонка.
В первой статье Хайдинга показательна и проверка языковой модели в роли фильтра, объясняющая расхождение лабораторных оценок с практикой. Авторы получили точность выше 97% без ложных тревог. Но тестировали модель на несбалансированном наборе из 381 письма, куда вошли 363 вредоносных и только 18 обычных рабочих сообщений. Отсутствие ошибок на 18 чистых примерах ничего не говорит о том, сколько ложных блокировок такой фильтр даст на миллионном почтовом потоке компании, где реальные атаки составляют сотые доли процента.
Российские данные и теневой рынок
Российская статистика также показывает уход атакующих от простых рассылок к продуманному общению с жертвой. По данным Банка России, которые в августе 2026 года приводило ТАСС со ссылкой на эксперта Сибирского ГУ Олега Савву, за первое полугодие на социальную инженерию пришлось 97% из почти 48 тыс. атак, а доля ссылочного фишинга сократилась примерно до 1,7%. Вместо поддельных страниц входа злоумышленники заводят длинные переписки от имени руководителей или подрядчиков. В мае того же года специалисты BI.ZONE Threat Intelligence описали на теневых форумах готовые веб-платформы от $450 в месяц, которые сами поэтапно запускают почтовые серверы, проверяют домены и IP-адреса отправителей по черным спискам, тестируют шаблоны на контрольных ящиках и переписывают фразы, задерживаемые спам-фильтрами.
Почему пассивные детекторы контента обречены
Попытка закрыть задачу классификатором, определяющим на входе, написан ли текст нейросетью, быстро уперлась в статистическое ограничение, почти не зависящее от выбора модели. Исследователи из Мэрилендского университета в работе для Transactions on Machine Learning Research строго доказали, что верхняя граница площади под ROC-кривой любого бинарного детектора генерации задается расстоянием полной вариации между распределениями текстов модели и человека. Чем точнее языковые модели воспроизводят обычную деловую речь, тем меньше это расстояние и тем плотнее качество пассивного детектора прижимается сверху к случайному угадыванию.
На коротких рабочих письмах этот предел виден сразу, поскольку заявка на доступ к стенду или письмо о смене реквизитов по договору занимают 50-100 слов и состоят из стандартных деловых фраз, в которых почти нет индивидуальных черт. Повышение чувствительности фильтра на такой длине дает поток ложных тревог, а перефразирование через вторую модель стирает статистические следы и водяные знаки. К тому же сотрудники сегодня сами повседневно правят рабочие письма в корпоративных моделях, из-за чего детектор синтетики помечает внутреннюю почту, хотя для безопасности не важно, кто составил текст, ведь ущерб возникает от исполнения подложной просьбы независимо от участия алгоритма.
Именно поэтому прикладные системы защиты оценивают саму суть просьбы в связке с историей переписки. Компактные языковые модели, дообученные под задачи безопасности, выделяют в письме признаки опасного требования — смену реквизитов оплаты, запрос паролей или попытку провести операцию мимо обычного согласования под предлогом срочности, — которые нельзя убрать перефразированием без потери смысла инструкции. Полученную оценку затем сопоставляют с профилем конкретного отправителя, учитывая его привычный словарь, часы работы, обычный круг адресатов и технические заголовки домена.
В нашей практике анализа корпоративной переписки основную часть подмен отсеивают еще до запуска моделей базовые настройки канала. Проверка записей SPF, DKIM и DMARC вместе с пометкой внешних писем и контролем цепочек ответов снимает большинство имитаций с похожих доменов. Модели машинного обучения дают выигрыш дальше, когда из свободного текста нужно извлечь признак рискованной просьбы и передать его в правило проверки. У профилирования авторов тоже есть предел: при слияниях, смене отделов или запуске новых проектов структура общения перестраивается, и старые базовые линии временно дают больше ложных тревог.
Чем опасны ИИ-ассистенты
Отдельный риск возник там, где к корпоративной почте, календарям и клиентским базам подключили ИИ-ассистентов, поскольку модель читает системные правила разработчика и текст входящего письма в одном общем потоке без разделения команд и внешних данных по уровню доверия. Этот сбой виден на примере уязвимости EchoLeak в Microsoft 365 Copilot и июньских тестов Varonis Threat Labs 2026 года на почтовом агенте, собранном на открытой платформе OpenClaw, где обычное письмо со стороннего адреса заставляло помощника отправлять выгрузку или ключи от стенда наружу. Агент на базе OpenClaw переслал ключи AWS IAM даже на строгом профиле безопасности, прямо требовавшем проверять отправителя, так что запретами внутри промпта проблема не решается и чтение секретов вместе с внешней отправкой писем должен контролировать программный код вне модели.
При телефонных разговорах и видеосвязи мошенники пользуются привычкой человека доверять знакомому голосу и лицу на экране. В начале 2024 года сотрудник гонконгского офиса Arup получил письмо якобы от британского финдиректора о закрытой сделке. Сначала он счел его фишингом, но переубедился на групповом видеозвонке с синтезированными по открытым записям коллегами. В итоге сотрудник перевел мошенникам 15 платежей на общую сумму $25,6 млн без взлома сети. Иной финал у другой истории - попытке обмана в концерне Ferrari фиаче, которая произошла летом 2024 года. Топ-менеджеру позвонили с клонированным голосом и южно-итальянским акцентом гендиректора компании Бенедетто Виньи ради срочной сделки. Собеседник попросил назвать книгу, которую Винья советовал ему лично за несколько дней до звонка, и атакующий сразу прервал связь, ведь открытые записи позволяют скопировать голос и внешность, но не открывают деталей личного общения.
Насколько надежны детекторы дипфейков
Пассивные детекторы дипфейков ищут сбои в физике сигнала и физиологии человека: речевые модели отслеживают скачки фазы, следы старых синтезаторов и нарушения дыхания, а видеоаналитика сопоставляет движения губ со звуками речи, проверяет границы лица и улавливает колебания оттенка кожи от пульсации сосудов. На лабораторных выборках точность достигает 98-99%, но в реальной среде заметно падает. Обзор 52 методов детекции на 10 наборах данных в июньском выпуске Artificial Intelligence Review за 2026 год показал, что переход на незнакомые генераторы снижал точность пассивных моделей на 10-15%, а состязательные помехи в режиме белого ящика обходили защиту более чем в 80% проверок. Тот же разрыв зафиксировала работа с конференции CVPR 2026 на выборке реальных роликов из соцсетей и открытых площадок, где модели с лабораторным результатом 99-100% AUC дали максимум 76,0% AUC вне обучающего домена и лишь 75,5% даже при обучении внутри самого набора.
Распознавание дополнительно усложняет канал связи, стирающий тонкие признаки подделки. Телефонная сеть урезает звук до полосы 300-3400 Гц кодеками G.711 и AMR, а мессенджеры и сервисы видеосвязи сжимают поток кодеками с потерями (Opus в WebRTC, AAC), убирая высокие частоты со следами старых синтезаторов, тогда как современные генераторы речи работают через нейросетевые кодеки и таких искажений почти не оставляют изначально. В исследовании с конференции Interspeech у детекторов, обученных на классической базе с ошибкой внутри домена в доли процента (0,12% у лучшей модели), средняя ошибка EER на нейрокодековой речи вырастала до 36-44% (до 43,9% у отдельных архитектур), приближаясь к случайному угадыванию. После сжатия живой голос и синтез попадают в общее пространство признаков с почти совпадающими распределениями.
Криптографическая маркировка по стандарту C2PA в живом общении тоже малопригодна, потому что подпись теряется при перекодировании потока или захвате экрана, а обычные звонки изначально не подписываются. Поэтому в удаленной биометрии финтеха (KYC) пассивную оценку кадра дополняют проверкой того, что приложение не подменено и видео не идет с виртуальной камеры, а также активными тестами. В российской Единой биометрической системе человек произносит перед камерой случайный ряд цифр с экрана и выполняет команды, а в ряде банковских мобильных решений экран смартфона дополнительно подсвечивает лицо цветными вспышками со сверкой бликов за доли секунды. Обычному рабочему созвону такая проверка чужого устройства недоступна, так что знакомый голос или видеообраз нужно исключать из оснований для подтверждения переводов и выдачи доступа.
Почему поведение и графовые модели защищают лучше
Труднее всего автоматически выявлять ситуации, когда обманутый человек выполняет все операции в системе сам. Зампред Банка России Герман Зубарев в феврале 2026 года отмечал в интервью, что сами по себе поддельные видео и аудио деньги со счетов не списывают, но помогают войти в доверие и подтолкнуть жертву к поспешному переводу. Платежная аналитика выделяет такие случаи в класс мошенничества с добровольно подтвержденной операцией (Authorized Push Payment, APP), когда владелец счета со штатного устройства проходит многофакторную проверку и сам подписывает платеж под чужую диктовку.
Именно на поведенческих данных преимущество оказывается у защиты. Если убедительное письмо или трехсекундный образец голоса собираются по открытым записям, то многолетняя история повседневных действий конкретного человека и его деловых связей хранится только внутри банка или компании, и повторить это распределение чужими руками извне атакующий не может. Внутри сессии нетипичное состояние пользователя выдает последовательность действий в интерфейсе, когда под телефонным давлением меняются темп нажатий и маршрут по экранам, номер счета вставляется из буфера обмена вместо шаблона и растут паузы перед подтверждением. Для мобильного банка особенно сильным признаком служит совпадение таких отклонений с идущим звонком с неизвестного номера при крупном переводе новому получателю.
Поверх отдельных сессий работают темпоральные графовые нейросети на разнородных данных, в реальном времени связывающие клиентов, счета, компании и устройства в динамический граф, где видно, как обычный по сумме платеж создает нетипичную связь со свежим узлом или быстро выводит на цепочку счетов-дропов. Долгое время такие модели теряли точность из-за гетерофилии, поскольку организаторы вывода разбавляют транзитные операции дропов мелкими покупками в обычных магазинах и стандартные графовые свертки при усреднении соседей сглаживают аномалию. Работы последних лет обходят эту маскировку частотно-адаптивными фильтрами на графах, которые оценивают контраст между прежней ролью узла и структурой его новых связей.
На промышленном потоке любая модель ограничена малой долей атак: если на мошенничество приходится условные 0,05% операций, то даже при специфичности 99% и стопроцентной полноте обнаружения алгоритм даст около 20 ложных тревог на один инцидент, а при полноте 50% — около 40, так что автоматическая блокировка сразу остановит расчеты. При настройке поведенческих моделей мы регулярно видим этот эффект в дни закрытия квартала, налоговых выплат или срочных работ в инфраструктуре, когда бухгалтеры и инженеры действуют в спешке, копируют реквизиты из писем и платят новым подрядчикам, повторяя по телеметрии картину работы под давлением. Без учета бизнес-календаря и калибровки вероятностей модель перегружает аналитиков ложными тревогами именно в самые напряженные рабочие дни.
Как регулирование и устойчивость моделей влияют на защиту
Откалиброванную оценку риска поэтому переводят в ступенчатые меры — предупреждение с указанием причины подозрения, паузу на охлаждение или подтверждение операции вторым сотрудником. В российском финтехе такой порядок задан законом № 161-ФЗ, предусматривающим двухдневную приостановку подозрительных переводов, сверку с базой Банка России о переводах без согласия клиента и обмен индикаторами через ФинЦЕРТ. С 1 января 2026 года приказом ЦБ РФ от 05.11.2025 № ОД-2506 список признаков расширен с 6 до 12 пунктов: в него вошли нетипичная телефонная активность перед платежом и перевод себе по СБП более 200 тыс. рублей с последующей отправкой денег в течение 24 часов получателю, которому клиент не платил минимум 6 месяцев. Быстрый межбанковский обмен реквизитами через ФинЦЕРТ нередко предотвращает больший ущерб, чем прирост точности отдельной модели на доли процента.
При сопровождении систем важно следить и за проверкой моделей на архивных данных: случайная разбивка журналов на обучение и тест завышают метрики, потому что счета одной сети дропов или письма одной рассылки попадают в оба набора и честную оценку дает только строгое разделение по дате. Поскольку атакующие за дни меняют легенды писем и подстраивают схемы вывода под пороговые правила, без контроля дрейфа данных и регулярного переобучения на закрытых расследованиях точность скоринга заметно падает за 1-2 квартала. Устойчивость ИТ-компаний и финтеха в ближайшие годы будет зависеть от того, насколько плотно сигналы поведенческих и графовых моделей встроены во внутренние правила подтверждения операций, при которых нетипичный перевод или выдача расширенного доступа требуют проверки по отдельному каналу, какими бы убедительными ни выглядели письмо, голос или лицо на экране.
Опубликовано 08.11.2026
